Le récent incident de sécurité de 6,3 milliards de dollars chez Binance a déplacé l’attention des chiffres de pertes mis en avant vers une question plus technique : qu’est-ce que l’architecture des portefeuilles de la plateforme a exactement permis aux attaquants de faire, et dans quelle mesure les dégâts dépendaient-ils des contrôles internes entourant ses portefeuilles chauds ?
Dans des commentaires datés du 30 octobre, Richard Teng, co-PDG de Binance, a déclaré que l’attaque visait le portefeuille chaud de la plateforme. Il a décrit une structure de conservation dans laquelle la plupart des actifs des clients sont conservés hors ligne, dans des portefeuilles froids, et ne sont transférés vers des portefeuilles chauds que pour traiter les retraits demandés par les utilisateurs. Mais les analystes avertissent que les données publiques de la blockchain ne permettent pas de déterminer pleinement avec quelle sécurité ces retraits étaient autorisés et limités après qu’un attaquant a obtenu un accès.
Points clés
Binance a déclaré que les attaquants avaient visé son propre portefeuille chaud, tandis que la plupart des fonds des clients sont normalement conservés hors ligne dans des portefeuilles froids, approvisionnés au besoin pour les retraits.
Les données des transactions sur la blockchain peuvent montrer les mouvements de fonds, mais elles ne permettent pas de confirmer les contrôles internes de signature et d’approbation qui régissaient ces transferts.
Jonathan Riss, analyste chez CertiK, a déclaré que l’ampleur des dégâts potentiels dépend de ce que le système de signature permet au fil du temps, et pas seulement du solde des portefeuilles à un instant donné.
Fireblocks et d’autres responsables de la sécurité ont indiqué que les plateformes d’échange conservent souvent des liquidités dans leurs portefeuilles chauds pour répondre aux retraits prévus, généralement une faible proportion à un chiffre, bien que la conception exacte varie.
Le premier rapport d’incident de Binance indiquait que les attaquants avaient accédé à un service interne de signature de portefeuilles, mais la plateforme a précisé que certains détails techniques resteraient confidentiels.
Ce que Binance affirme s’être passé — et ce qui reste opaque
D’après les déclarations de Teng du 30 octobre, la compromission a touché le portefeuille chaud de Binance plutôt que la majeure partie des actifs conservés hors ligne. Cette distinction a des conséquences concrètes importantes pour les investisseurs et les utilisateurs : si le stockage à froid est resté intact, l’incident pourrait surtout révéler les mécanismes d’approvisionnement des portefeuilles chauds et d’autorisation des retraits pendant la période de l’attaque.
Le premier rapport d’incident de Binance (publié mardi) a apporté un indice supplémentaire. Il indiquait que les attaquants avaient accédé à un service interne de signature de portefeuilles, qui leur avait permis de transférer des fonds en dehors de la procédure de retrait habituelle de la plateforme. Binance a également indiqué qu’elle ne divulguerait pas certains détails techniques, invoquant le risque qu’une divulgation supplémentaire facilite de nouvelles attaques.
Binance n’a pas répondu aux questions complémentaires de Cointelegraph concernant les soldes des portefeuilles et les mesures de protection, laissant une lacune majeure : comment l’environnement de signature était conçu pour empêcher ou ralentir les transferts non autorisés, et si plusieurs niveaux d’autorisation étaient en place.
Pourquoi les « preuves » de la blockchain ne peuvent pas trancher le débat sur le contrôle des portefeuilles
Même si le montant total de 6,3 milliards de dollars a été largement rapporté, les analystes estiment qu’il ne suffit pas à comprendre l’exposition. Jonathan Riss, analyste chez CertiK, a expliqué que ce chiffre correspond à la valeur cumulée des actifs touchés sur 10 blockchains. Sur Ethereum en particulier, les attaquants auraient vidé à plusieurs reprises un portefeuille chaud à mesure que de nouveaux dépôts arrivaient, ce qui suggère un processus dynamique plutôt qu’un retrait unique.
Riss a souligné que le solde affiché sur la chaîne à un instant donné ne représente qu’une partie de l’histoire. Si un attaquant obtient des signatures valides, sa capacité à retirer des fonds dépend de l’architecture de signature des portefeuilles, notamment des autorisations de signature et des limites temporelles en place.
Il a également mis en évidence un problème de contrôle important lorsque plusieurs systèmes interagissent. Si les limites de transaction sont appliquées uniquement par l’application qui demande les signatures, un attaquant qui compromet cette application peut être en mesure de contourner ces contrôles. En revanche, des limites directement imposées par le système de signature pourraient continuer à restreindre les retraits même après qu’un attaquant a accédé aux logiciels en amont.
Selon lui, il est difficile de comparer équitablement les plateformes d’échange de l’extérieur. Les informations publiques sur l’architecture de signature interne sont limitées dans l’ensemble du secteur. Les preuves de réserves et les attestations de réserves peuvent indiquer où se trouvent les actifs, mais elles ne prouvent pas nécessairement comment les retraits ont été autorisés ni quelles restrictions s’appliquaient lors d’une compromission. Eugene Hahr, directeur produit de BitGo, a également refusé de spéculer sur les mesures de protection internes de Binance, affirmant que Binance était la mieux placée pour répondre à la question de la répartition des actifs en garde.
Quelle part des liquidités doit se trouver dans les portefeuilles chauds ?
La question plus générale soulevée par l’incident de Binance n’est pas simplement « quelle est la taille du portefeuille chaud ? », mais plutôt « quels mouvements le portefeuille chaud est-il autorisé à effectuer ? ». Idan Ofrat, cofondateur et directeur produit de Fireblocks, a déclaré que les plateformes d’échange conservent généralement dans leurs portefeuilles chauds suffisamment de fonds pour couvrir quelques jours de retraits prévus. Selon lui, cela représente souvent un faible pourcentage à un chiffre des actifs sous gestion, la majeure partie de la valeur des clients étant conservée dans des installations de stockage à froid.
Ofrat a également décrit différentes façons dont les plateformes gèrent les niveaux intermédiaires. Certaines utilisent des portefeuilles intermédiaires qui nécessitent une approbation manuelle avant tout transfert vers les portefeuilles chauds, ce qui ajoute des obstacles pour limiter la vitesse d’un éventuel mouvement non autorisé.
D’autres acteurs du marché ont souligné que des soldes importants dans les portefeuilles chauds ne sont pas automatiquement le signe d’une mauvaise gestion. Alex Tobol, directeur technique de Walt, un portefeuille crypto associé à Telegram, a déclaré qu’il pouvait être normal pour une plateforme de l’envergure de Binance de détenir des milliards dans des portefeuilles chauds. Selon lui, la différence cruciale tient à la possibilité de traiter les retraits automatiquement en cas de compromission, ou au fait que le réapprovisionnement des liquidités des portefeuilles chauds depuis le stockage à froid exige des décisions distinctes du service de trésorerie et une approbation manuelle.
Hahr a évoqué des mesures de contrôle pouvant limiter les pertes en cas de compromission d’un système, notamment des limites de transaction, des restrictions concernant les adresses de retrait autorisées et des exigences d’autorisation supplémentaires avant la signature et la diffusion des transactions.
Les pressions exercées sur le secteur après l’attaque
Binance n’évolue pas en vase clos. À la suite de l’incident, plusieurs concurrents ont rendu publics des détails sur leurs proportions de stockage à froid, notamment Coinbase, Gate et Upbit, selon des articles cités par Cointelegraph. Cette évolution montre à quelle vitesse des incidents de sécurité peuvent redéfinir ce que les utilisateurs et les régulateurs considèrent comme des informations « élémentaires » : il ne s’agit pas seulement de savoir combien une plateforme détient, mais aussi de comprendre comment cette structure influe sur les risques en situation d’urgence.
Le cas de Binance met toutefois en évidence les limites de telles divulgations. Les pourcentages de stockage à froid peuvent aider à décrire la répartition des réserves, mais ils ne révèlent pas les réalités opérationnelles des services de signature des portefeuilles — notamment si les limites étaient appliquées à un niveau que les attaquants pouvaient contourner, ou si les approbations et les restrictions d’adresse étaient suffisamment strictes pour ralentir les transferts.
Pour les lecteurs qui cherchent à tirer les véritables enseignements de l’incident de Binance, les points essentiels à surveiller sont les suivants : les enquêteurs et Binance fourniront-ils plus de détails sur les autorisations du service de signature ? Comment les limites de transaction étaient-elles appliquées (au niveau de l’application ou du système de signature) ? Et quelles mesures de contrôle compensatoires, le cas échéant, étaient censées empêcher les transferts non autorisés une fois l’accès obtenu ?
Cet article a d’abord été publié sous le titre « Le piratage de Binance, évalué à 6,3 milliards de dollars, relance l’examen des contrôles de sécurité des portefeuilles chauds » sur Crypto Breaking News — votre source de confiance pour l’actualité crypto, Bitcoin et les dernières nouvelles de la blockchain.